Op 7.12.2020 (betekend op 28.12.2020) heeft het Oberlandesgericht Wien (OLG) uitspraak gedaan in de beroepsprocedure Schrems tegen Facebook Ireland Ltd. (GZ 11 R 153 / 20f, 154 / 20b).¹ Het Landesgericht für Zivilrechtssachen bevestigde de beslissing van de regionale rechtbank voor burgerlijke zaken en oordeelde dat het socialemediaplatform verplicht was om de eiser volledige toegang te verlenen tot de gegevens die over hem werden bijgehouden, waardoor het bedrijf verplicht was een schadevergoeding van 500 EUR te betalen (artikel 82 GDPR).

Niettemin concludeerde het ook dat de handeling van gegevensverwerking niet vereist dat het platform een ondubbelzinnige, afzonderlijke toestemming van zijn gebruikers verkrijgt op grond van de EU-wetgeving inzake gegevensbescherming (artikel 6, lid 1, onder a), GDPR), maar dat een dergelijk recht op gegevensgebruik inherent aan Facebook wordt verleend op grond van haar contractuele bepalingen en voorwaarden.

De beschikking heeft betrekking op een aantal juridische klachten en geeft aanleiding tot drie afzonderlijke kwesties die hieronder worden behandeld.

Toewijzing van de rol van de partijen in het kader van de gegevensbeschermingswetgeving

Eiser

• Volgens de eiser wordt de platformgebruiker beschouwd als de verantwoordelijke of "voor de verwerking verantwoordelijke" (artikel 4, lid 7, GDPR) met betrekking tot de datatoepassingen die hij zelf voor zijn persoonlijke doeleinden gebruikt;
• Verweerder treedt contractueel op als "verwerker", zodat hij geen gegevenstoepassingen kan verrichten zonder of in strijd met de instructies van eiser;
• Er is geen overeenkomst gesloten die voldoet aan de vereisten van artikel 28, lid 3, GDPR, ook al heeft de eiser recht op een dergelijke overeenkomst.

Beklaagde

• Verweerder moet worden beschouwd als de enige verantwoordelijke jegens eiser, die geen belang heeft bij een declaratoire uitspraak.

OLG (blz. 21-23)

• Het loutere gebruik van een platform van een sociaal netwerk maakt een gebruiker op zich niet medeverantwoordelijk voor de door dat netwerk verrichte verwerking van persoonsgegevens;
• Een onderscheid moet worden gemaakt met betrekking tot fanpagina's, waarbij de exploitant van die pagina bijdraagt tot de verwerking van de persoonsgegevens van bezoekers, waardoor hij een voor de verwerking verantwoordelijke wordt (HvJ C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, m.n. par. 35, 36 en 41).
• Een Facebook-gebruiker is dus slechts medeverantwoordelijke voor de persoonsgegevens van derden (artikel 4, lid 7, GDPR) en slechts betrokkene met betrekking tot zijn eigen persoonsgegevens.

Effectieve toestemming tot de verwerking van persoonsgegevens

Eiser

• Instemming met de gebruiksvoorwaarden van het socialemediaplatform en de bijbehorende richtsnoeren voor gegevensgebruik leidt niet tot daadwerkelijke toestemming in de zin van artikel 6, lid 1, en artikel 7 GDPR;
• In tegenstelling tot de GDPR-bepalingen, die op 25.5.2018 in werking zijn getreden, voorzagen civielrechtelijke overeenkomsten zoals die onder de vroegere gegevensbeschermingswetgeving vielen, niet in uitdrukkelijke "toestemming"-vereisten;
• Door voorafgaande toestemming in de voorwaarden van het bedrijf op te nemen voordat de GDPR van kracht werd, werden gebruikers onbedoeld in een nieuw contract gedwongen, waardoor het platform de strengere gegevensbeschermingsnormen onder de huidige GDPR-bepalingen kon omzeilen;
• Als zodanig had de eiser geen daadwerkelijke toestemming in de zin van de GDPR gegeven voor de door de verweerder verrichte verwerking van gegevens.

Beklaagde

• De door het platform uitgevoerde gegevensverwerking was in overeenstemming met de bepalingen van artikel 6, lid 1, onder b), van de GDPR aangezien zij een noodzakelijk onderdeel van de uitvoering van het contract vormde.

OLG (blz. 23-24)

• De GDPR staat verschillende grondslagen toe voor de verwerking van persoonsgegevens, onder meer indien dit noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is (artikel 6, lid 1, onder b), GDPR);
• De noodzakelijkheid wordt hierbij per geval bepaald, met inachtneming van het contractuele doel en de verplichtingen die uit de inhoud van de overeenkomst voortvloeien;
• De essentie van het Facebook business model en het contractuele doel ervan draait om:
  • Voor de gebruiker: toegang krijgen tot het gepersonaliseerde communicatieplatform;
  • Voor het platform: de toegang beschikbaar maken zonder extra kosten;
• Het bedrijf dat het platform exploiteert, kan dus een beroep doen op andere financieringsbronnen, bijvoorbeeld reclame die op de specifieke gebruiker is afgestemd;
• De verwerking van persoonsgegevens van de gebruiker vormt een fundamentele pijler van de overeenkomst tussen platform en gebruiker, omdat het de basis is die het mogelijk maakt reclame af te stemmen op de interesses van de individuele gebruiker;
• De noodzakelijkheidscomponent met betrekking tot de gegevensverwerking staat vast in die zin dat het gebruik van dergelijke informatie enerzijds vorm geeft aan de geïndividualiseerde ervaring van de gebruikers, maar anderzijds ook een financieel kanaal vormt via hetwelk het platform zijn winst verkrijgt.

Verzoek om het verstrekken van informatie

Eiser

• Er is een verzoek om informatie ingediend, dat echter nog niet is beantwoord overeenkomstig artikel 15 GDPR;
• Door informatie over het gebruik en de verwerking van (persoons)gegevens slechts gedeeltelijk ter beschikking te stellen, voldoet verweerder niet aan zijn wettelijke verplichtingen;
• De onzekerheid over de verwerking van gegevens heeft geleid tot een emotioneel leed dat eiser recht geeft op een immateriële schadevergoeding van 500 EUR.

Beklaagde

• Verweerster is haar verplichtingen niet niet nagekomen;
• De eiser heeft geen sluitende bewering betreffende de schadevordering gedaan.

OLG (24-29)

• Facebook had verzuimd zijn gebruikers toegang te verlenen tot de gegevens in hun toegangshulpmiddelen, hetgeen de eiser een vorderingsrecht geeft dat zijn grondslag vindt in artikel 15, lid 1, GDPR;
• De eiser heeft recht op informatie met betrekking tot:
  • De persoonsgegevens die door Facebook worden verwerkt en de doeleinden daarvan (artikel 15, lid 1, onder a), GDPR);
  • Aan wie de respectieve persoonsgegevens worden bekendgemaakt, d.w.z. (categorieën) van ontvangers (artikel 15, lid 1, onder b), GDPR);
  • de oorsprong van de gegevens indien deze niet bij de eiser zijn verzameld (artikel 15, lid 1, onder g), GDPR);
• Het bedrag van 500 EUR staat in verhouding tot de geringe mate van ongemak die eiser heeft geleden en blijkt gerechtvaardigd te zijn.

Commentaar

In overeenstemming met de stellingen van de eiser heeft het Europees Agentschap voor gegevensbescherming eerder de verwerking van bijzondere categorieën persoonsgegevens uitdrukkelijk verboden, tenzij uitdrukkelijk toestemming is gegeven of de verwerking noodzakelijk is om redenen van zwaarwegend algemeen belang (artikel 9, lid 2, onder g), GDPR). Hoewel contractuele bepalingen over het gebruik van gegevens nog steeds kunnen worden gebruikt voor de doorgifte van gegevens, zouden zij niet volstaan om de noodzaak van het verlenen van toestemming te vervangen.²

Hoewel het OLG een recht van beroep bij het Oostenrijkse Hooggerechtshof heeft toegekend, wordt verwacht dat de aan de orde gestelde juridische kwesties te zijner tijd opnieuw bij het Hof van Justitie van de Europese Unie aanhangig zullen worden gemaakt.

Voetnoten

1 Arrest beschikbaar in het Duits via: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.

2 Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen." Europäischer Datenschutzausschuss - Europees Comité voor gegevensbescherming. Beschikbaar bij: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [geraadpleegd op 05.02.2021].

De inhoud van dit artikel is bedoeld als een algemene leidraad voor het onderwerp. Er dient gespecialiseerd advies te worden ingewonnen over uw specifieke omstandigheden.